Sist gjennomgått 4. november 2026 mot kildene som er lenket i dette innlegget.
Styret møtes torsdag, og styrelederen har ett spørsmål til CISO: «Hvis vi blir rammet av ransomware i morgen, hvem bestemmer hva, og har vi øvd på det?» Verktøyene er viktige, men svaret avhenger av styring, øvelser og ansatte som rapporterer raskt. Det er det cybersikkerhetsopplæring for ledere må dekke. NIST poengterte dette i sitt Cybersecurity Framework 2.0, som la til en sjette funksjon, Styre, som dekker roller, ansvar og myndighet, politikk og tilsyn med cybersikkerhetsstrategi.
Denne listen gir en CISO kursene for å kjøre det programmet. Du får 10 ferdige kurs i 3 grupper, hva hvert av dem fikser og hvordan du ruller dem ut. Hver gruppe avsluttes med en Vårt valgDe juridiske punktene beskriver amerikanske føderale regler, så bruk dette som et pensum, ikke en avgjørelse.
Alle 10 kursene på et blunk
| Kurs | Hva den dekker | Lengde | Loven bak det? |
|---|---|---|---|
| Styring av cyberrisiko for ledere og styrer | Fem styrespørsmål, risikoappetitt og krisebeslutninger | 40 min | Nei |
| IT-styring, bedriftsarkitektur og IT-revisjon: COBIT og TOGAF | Styringsmål, arkitekturmetode og revisjonsplanlegging | 45 min | Nei |
| ISO/IEC 27001 og ISMS | Retningslinjer for praksis, unntak og å snakke med en revisor | 40 min | Nei |
| Løsepengevirus-bord for ledere | Den første timen, hvem bestemmer og hvem snakker, backup | 60 min | Nei |
| Bevissthet om trusler fra innsiden | Risikoindikatorer, rekrutteringsmetoder og rapportering | 30 min | Ja (USA-godkjente entreprenører) |
| Viktig informasjon om sikkerhetsbevissthet | Stadiene i et angrep og kjernevaner | 35 min | Ja (amerikansk dekkede finansinstitusjoner) |
| Nettfisking og sosial manipulering | Røde flagg, verifisering og rapportering | 30 min | Nei |
| Passord, tilgangsnøkler og flerfaktorautentisering | Sikre pålogginger, MFA, passord og gjenoppretting | 30 min | Nei |
| AI-sikkerhet for alle | Skygge-AI, rask injeksjon og manipulerte utganger | 30 min | Nei |
| Sosial manipulering, svindel og deepfakes | Telefon-, betalings- og etterligningssvindel | 35 min | Nei |
To kurs er basert på en amerikansk føderal regel, og bare for noen organisasjoner. I henhold til NISPOM-regelen må godkjente forsvarsentreprenører gi nylig godkjente ansatte Opplæring i bevissthet om innsidetrussel før tilgang til klassifisert informasjon gis og validere førstegangs og årlig utfylling. FTCs sikkerhetsregel sier at dekkede finansinstitusjoner må tilby sikkerhetsbevissthetsopplæring for sine ansatteIngen av dem setter en kurs for alle andre.
Styring og rammeverk
Styring av cyberrisiko for ledere og styrer
Dette 40-minutters kurset behandler cyberrisiko som forretningsrisiko. Det dekker fem spørsmål du bør stille om organisasjonen din, risikoappetitt og et kort dashbord, gråsonene rundt betaling, forklaring og avveininger, hvor plikter kommer fra, og hvilke ledertiltak som skal iverksettes videre. En IT-sjef kan kjøre det med ledergruppen før en styresyklus. Spørsmålet «et dashbord viser hundrevis av målinger» fungerer som et «Velg svar»-lysbilde og starter det riktige argumentet. Styremedlemmene får sin egen liste i vår opplæringsguide for styret.
IT-styring, bedriftsarkitektur og IT-revisjonsrammeverk: COBIT og TOGAF
Dette 45-minutters kurset åpner med «et system ingen var ansvarlige for», og dekker deretter hvorfor IT-styring er viktig for verdi, risiko og ressurser, styring versus ledelsesmål, arkitekturutviklingsmetoden, modenhetsmodeller og planlegging av en IT-revisjon med en rapport til ledelsen. Det gir IT-ledere som rapporterer til IT-sjefen en felles ramme. Sorteringsaktiviteten «styring eller ledelse?» danner en rask «Velg svar»-runde.
ISO/IEC 27001 og styringssystemet for informasjonssikkerhet
CISO eier vanligvis ISMS-systemet, og alle ansatte er en del av det. Dette 40-minutters kurset forklarer hva et ISMS er, hvordan retningslinjer blir praksis, hvordan unntak og svakheter håndteres og hvordan man snakker med en revisor. Rull det ut før en sertifiserings- eller overvåkingsrevisjon, slik at ansatte kan svare på spørsmål med bevis. Et åpent lysbilde om «hva ville du vist en revisor?» avdekker hullene tidlig.
Vårt valg: Styring av cyberrisiko for ledere og styrer. Den gjør NISTs styringsfunksjon om til fem spørsmål et lederteam kan svare på, som er samtalen de fleste IT-sjefer trenger først.
Hendelsesberedskap og innsiderisiko
Løsepengevirus-bord for ledere
Dette 60-minutters kurset er et bordkurs i tre deler: den første timen, beslutninger og kommunikasjon, og sikkerhetskopiering og reparasjoner. Ledere øver på hvem som isolerer maskiner, hvem som snakker med pressen og hvem som bestemmer om løsepenger, noe kurset besvarer som lederskap med juridisk rådgivning. Det avsluttes med en siste sjekk på 7 spørsmål. Kjør det live med de virkelige navnene til hendelseslederen og kommunikasjonssjefen. For analytikerne som utfører planen, se vår liste over opplæringsprogrammer for SOC-analytikere.
Bevissthet om trusler fra innsiden
Programmer for innsidetrussel håndteres ofte av CISO, fra deteksjon til respons. Dette 30-minutters kurset dekker hvorfor deteksjon er viktig, atferdsmessige, tekniske og økonomiske indikatorer, hvordan motstandere rekrutterer betrodde innsidere, hva man skal gjøre og ikke gjøre, og hvor man skal rapportere. Det avsluttes med en siste sjekk på 10 spørsmål der 80 % er bestått. For godkjente amerikanske kontraktører er dette en ferdig måte å levere opplæringen som NISPOM-regelen ovenfor krever, selv om regelen ikke nevner noe kurs.
Vårt valg: Løsepengevirus-bordprogram for ledere. En plan ingen har øvd på mislykkes i løpet av den første timen, og denne diskusjonen får lederne til å bestemme seg før presset er reelt.
Sikkerhetsvaner for ansatte og risiko for kunstig intelligens
Viktig informasjon om sikkerhetsbevissthet
Dette er det grunnleggende bevissthetsprogrammet en CISO er ansvarlig for. Kurset varer i 35 minutter og dekker hvorfor folk blir målrettet, anatomien til et angrep, røde flagg, hvordan du beskytter deg selv og hvordan du reagerer og rapporterer, med en avsluttende kontroll på 12 spørsmål der 80 % er bestått. For dekkede finansinstitusjoner er dette en ferdig måte å oppfylle kravet om sikkerhetsbevissthetsopplæring i FTC Safeguards Rules, selv om regelen ikke nevner noe kurs.
Nettfisking og sosial manipulering
Motstandsdyktighet mot phishing er en vanlig CISO-måling. Dette 30-minutters kurset forklarer hvordan angrep bygges opp, de røde flaggene, hvordan du beskytter deg selv og hvordan du rapporterer, med en avsluttende sjekk på 12 spørsmål med 80 % bestått. Kombiner det med rapporteringsknappen din slik at kurset og målingen samsvarer.
Passord, tilgangsnøkler og flerfaktorautentisering for ansatte
Utrulling av passord og MFA er en programbeslutning, og de ansatte må vite hvorfor. Dette 30-minutters kurset dekker hvorfor kontoer er målet, sterke og unike pålogginger, flerfaktor- og passordnøkler, falske påloggingssider og gråsonene rundt deling, snarveier og gjenoppretting. Lanser det uken en ny påloggingsmetode legges ut.
AI-sikkerhet for alle: skygge-AI, rask injeksjon og manipulerte utganger
AI-sikkerhetspolicy for skygge-AI og umiddelbar injeksjon faller i økende grad på CISO-en. Dette 30-minutters kurset dekker skygge-AI og en kompromittert chatbot, umiddelbar injeksjon og forgiftet innhold, skjulte instruksjoner i PDF-er og e-poster, gratis AI-utvidelser og hvordan man ber om et godkjent verktøy eller rapporterer en hendelse. En ordsky om «hvilke AI-verktøy bruker du på jobb?» viser skygge-AI-en du ikke visste om.
Sosial manipulering, svindel og deepfakes: telefon-, betalings- og etterligningssvindel
Deepfakes og personifiseringssvindel hører hjemme i alle trusselbriefinger for ledere, fordi ledernes navn og stemmer er det angripere imiterer. Dette 35-minutters kurset følger en overbevisende forespørsel, dekker taktikkene, verifisering av betalingsendringer, forfalsket stemme og video, og hvorfor ansiennitet og hemmelighold er press, ikke bevis. Kjør det med finans og lederassistentene først.
Vårt valg: AI-sikkerhet for alle. Ansatte tar ofte i bruk AI-verktøy raskere enn retningslinjene kan følge, og dette kurset gir dem en enkel forespørsels-, bruks-, sjekk- og rapporteringsløkke.
Hvordan rulle ut planen
Start med styring. NISTs CSF 2.0 setter Styre for det første: ledere setter forventninger til risikoappetitt, ansvarlighet og ressurser, og resten av programmet følger av disse.
- Dette kvartalet, for ledere: styring av cyberrisiko, deretter ransomware-bordplaten med personene som er navngitt i hendelsesplanen din.
- For hver ansatt, ved onboarding: Viktige elementer i sikkerhetsbevissthet, phishing og passord, tilgangsnøkler og MFA.
- For IT- og sikkerhetsansvarlige: COBIT og TOGAF, og ISO 27001 før neste revisjon.
- Hvert år: kjøre bordplaten på nytt, en oppfriskningsquiz på hvert kurs og AI-sikkerhetskurset hver gang et nytt AI-verktøy rulles ut.
- Når det gjelder: Godkjente amerikanske forsvarsentreprenører gir opplæring i innsidetrusler før tilgang til klassifisert informasjon og hvert år deretter; dekkede finansinstitusjoner holder sikkerhetsbevissthetsopplæringen oppdatert slik FTCs sikkerhetsregel beskriver. Spør advokaten din hva annet som gjelder i ditt land eller din stat.
Måter å gjennomføre disse kursene på AhaSlides
Du kan bygge hvilken som helst av disse som et kurs i eget tempo med AhaSlides kursoppretteren, kjør dem som en live spørsmål og svar-økt, eller begge deler, med en undersøkelse etter kurset for å se hva som har endret seg.
- Velg svar: på bordplaten, vis løsepengebrevet og spør hvem som bestemmer hva som skal gjøres videre.
- Word Cloud: spør ledere: «Hva bekymrer dere mest ved en cyberhendelse?» og sammenlign det med risikoregisteret deres.
- Vurderingsskala: Før og etter, spør «Hvor klar er hendelsesplanen vår?» fra 1 til 5.
- Åpent slutt: samle inn anonyme spørsmål til styret på slutten av en live-sesjon.
FAQ
Hvilken opplæring trenger en CISO?
En IT-sjef trenger risikostyring og lederskap, hendelsesrespons, kunnskap om gjeldende regler og ferdigheter til å informere et styre. Kursene ovenfor dekker programmet en IT-sjef kjører; sertifiseringer dekker den personlige kompetansen.
Hvilke sertifiseringer har CISO-er?
Vanlige kurs inkluderer CISSP, CISM og EC-Council CCISO. Ingen av kursene ovenfor er en sertifisering.
Hvor ofte bør ledere gjennomføre hendelsesøvelser?
Minst én gang i året er et fornuftig utgangspunkt, og igjen etter en større endring som en fusjon, et nytt system eller en ny hendelsesleder.
Hva er et ransomware-bord?
Et ransomware-bordmøte er en diskusjonsbasert øvelse som øver på beslutningene ledere tar under et ransomware-angrep, uten å berøre levende systemer.
Dette innlegget er generell informasjon, ikke juridisk rådgivning. For å ta en avgjørelse om din egen arbeidsplass, snakk med en kvalifisert advokat eller tilsynsmyndighetene.
